警察庁は、この攻撃をこう定義しています。

ここで押さえておきたいのは、この攻撃には侵入がないということです。

対比は筆者による整理です。

第1章 おわり — 次は第2章

2024年12月下旬から2025年1月上旬にかけて、日本で何が起きたか。警察庁の記述をそのまま引きます。

空港で荷物を預けられない。銀行に入れない。データは1件も盗まれていませんが、生活は止まります。これがDDoSの被害の形です。

遮断しても、終わりませんでした

同じ記述の続きに、対処する側にとって最も重い一文があります。

「遮断したら終わり」ではありません。遮断されたら手口を変えて続けてきます。つまりDDoSへの対処は、一度きりの作業ではなく攻撃が続いている間ずっと続く、相手のいる作業です。

2025年6月には、犯行をほのめかす投稿も

その半年後にも、別の波がありました。政府機関、自治体、民間事業者等が運営する複数のウェブサイトで閲覧障害が発生し、同じ頃、SNS上にハクティビストのものと思われるアカウントから、犯行をほのめかす投稿が確認されています。

2つの波を並べると、性格の違いが見えます。

出典：警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』第1部(2)。表への整理は筆者によるものです。

年末年始と6月。いずれも人手が薄くなる時期、あるいは社会的な注目が集まる時期にあたります。そして標的は、1件目が「止まると生活が困る場所」、2件目が「止まると目立つ場所」でした。

第2章 おわり — 次は第3章

DDoSは「大量に送る」という一言でまとめられがちですが、送り方にはいくつかの型があります。

型の整理は筆者によるものです。実際の攻撃はこれらを組み合わせます。

CDNを迂回して、本体を直接叩く

多くのサイトはCDNという仕組みを使っています。世界中に配置された代理サーバがアクセスを引き受け、負荷を分散する仕組みです。DDoS対策としても機能します。

ところが、警察庁は日本の事案でこう確認しています。

玄関に守衛を置いても、裏口の住所が知られていれば意味がない——そういう話です。CDNを入れていても、本体（オリジンサーバ）のIPアドレスが外から分かってしまえば、そこを直接叩かれます。

第3章 おわり — 次は第4章

各用語の詳細は ボットネットとは？、WAFとは？ をご覧ください。

よくある3つの誤解

第4章 おわり — 次は第5章

動機の分類は筆者による整理です。DD4BC事件（2015年5月以降、EUROPOL・INTERPOLの調整により国際共同捜査、ボスニア・ヘルツェゴビナ警察等が被疑者2人を検挙）およびウクライナの観測は、警察庁資料にもとづきます。

4行目について補足します。警察庁は、2021年と2022年の同時期を比較して、ロシア軍によるウクライナ侵略が始まる直前の2月16日や、侵略を開始した2月24日以降、ウクライナへの大規模なDoS攻撃が観測されたとし、侵略とサイバー攻撃の発生に時間的・地理的な相関が見られると分析しています。

第5章 おわり — 次は第6章

DDoS対策について、警察庁は具体的な項目を挙げています。そのまま表にします。

出典：警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』第1部(2)。右列の補足は筆者によるものです。

1番と2番がセットです。CDNを入れただけでは足りません。本体の住所を隠し、かつ本体への直接アクセスを閉じる。両方やって初めて、CDNがDDoS対策として機能します。

3番については注意点があります。ボットネットの記事で扱ったとおり、攻撃者は日本国内の家庭の回線を踏み台にできます。海外IPの遮断は有効な一手ですが、これだけでは抜けられます。

装置より先に、決めておくもの

DDoSは起きてから調べる時間がありません。止まっている間じゅう、売上と信用が減り続けるからです。だから事前に決めておく項目のほうが、装置より先に効きます。

実務上の一般的な整理です。

4行目に注意してください。海外IPの遮断は、海外の正規利用者も締め出します。越境ECや海外拠点がある組織では、そのまま事業判断になります。技術の話ではなく、誰が決めるかを先に決めておく話です。

第6章 おわり — 次は第7章

実務上の一般的な整理です。契約している回線・CDN事業者の手順が優先されます。

第7章 おわり — 次は第8章

第8章 おわり — 最後にFAQ